論文の概要: Dagger: Decoupling-based Model Stealing Attack against Graph Neural Networks
- arxiv url: http://arxiv.org/abs/2609.37972v1
- Date: Tue, 29 Sep 2026 16:39:26 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-30 21:28:47.750582
- Title: Dagger: Decoupling-based Model Stealing Attack against Graph Neural Networks
- Title（参考訳）: Dagger: グラフニューラルネットワークに対するデカップリングベースのモデルステアリング攻撃
- Abstract要約: 我々は,厳密なクエリ予算下でのGNN盗難攻撃に対して,厳格に制約されたブラックボックス,ハードラベル,バックボーンに依存しない脅威モデルを定式化する。
ダガーは、最先端のGNN盗難攻撃を継続的に上回り、最大18.16%の忠実さを達成している。
- 参考スコア（独自算出の注目度）: 18.07161259616248
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: As Graph Neural Networks (GNNs) are widely deployed as Machine Learning-as-a-Service (MLaaS) APIs, model stealing attacks have emerged as a critical security threat. By querying a victim model's black-box API, an adversary can construct a functionally equivalent surrogate model, compromising proprietary intellectual property and downstream security. Existing GNN stealing attacks, however, rely on overly permissive assumptions, such as soft-label outputs, large query budgets, full-graph query access, and prior knowledge of victim backbones that rarely hold in real-world deployments. In this work, we formalize a strictly constrained black-box, hard-label and backbone-agnostic threat model for GNN stealing attacks under a tight query budget. Given these realistic restrictions, we identify four fundamental challenges: sparse local structures and isolated nodes that degrade victim label quality, insufficient supervision signals, systematic imbalance with incomplete class coverage, and backbone mismatch. To address these interlocking barriers, we propose Dagger, a novel two-phase decoupling-based attack framework. Specifically, in Phase 1, Dagger pre-trains a surrogate using decoupled information propagation to preserve structural context over sparse local subgraphs while handling isolated nodes, combined with manifold-level node mixup to synthesize continuous supervision signals and smooth decision boundaries. In Phase 2, Dagger freezes the encoder and fine-tunes the classifier head via class-balanced sampling paired with logit adjustment to rectify severe query imbalance without requiring extra victim queries. Extensive experiments across four benchmark graphs and four GNN backbones demonstrate that Dagger consistently outperforms state-of-the-art GNN stealing attacks, achieving up to 18.16\% higher fidelity while only utilizing 12.23$\times$ fewer queries than the strongest baseline.
- Abstract（参考訳）: グラフニューラルネットワーク(GNN)は機械学習・アズ・ア・サービス(MLaaS)APIとして広くデプロイされているため、モデルステルス攻撃が重要なセキュリティ脅威として浮上している。
被害者モデルのブラックボックスAPIをクエリすることで、相手は機能的に等価な代理モデルを構築し、プロプライエタリな知的財産権と下流のセキュリティを妥協することができる。
しかし、既存のGNN盗難攻撃は、ソフトラベル出力、大規模なクエリ予算、フルグラフクエリアクセス、現実世界の展開でほとんど持たない被害者のバックボーンに関する事前知識など、過度に寛容な仮定に依存している。
本研究では,厳密なクエリ予算下でのGNN盗難攻撃に対して,厳格に制約されたブラックボックス,ハードラベル,バックボーン非依存の脅威モデルを定式化する。
これらの現実的な制約を前提として,被害者のラベル品質を低下させる局所構造と孤立ノード,監視信号の不十分,不完全なクラスカバレッジの体系的不均衡,バックボーンミスマッチの4つの基本的な課題を特定した。
このようなインターロック障壁に対処するため,新たな2相分離型アタックフレームワークであるDaggerを提案する。
具体的には、第1相において、Daggerは分離されたノードを扱いながら、疎結合な局所部分グラフ上の構造的コンテキストを保存するために、分離された情報伝達を用いてサロゲートを事前訓練し、連続的な監視信号と滑らかな決定境界を合成するために、多様体レベルのノード混在と組み合わせる。
フェーズ2では、Daggerはエンコーダをフリーズし、クラスバランスのサンプリングとロジット調整を組み合わせて分類器ヘッドを微調整し、追加の被害者クエリを必要とせずに厳密なクエリ不均衡を是正する。
4つのベンチマークグラフと4つのGNNバックボーンにわたる大規模な実験は、ダガーが最強のベースラインよりも12.23$\times$少ないクエリしか利用せず、最先端のGNN盗難攻撃を一貫して上回っていることを示している。
関連論文リスト
- Defending Network Intrusion Detection Systems Based on Graph Neural Networks Against Structural Adversarial Attacks [3.444915014411325]
グラフニューラルネットワーク(GNN)は、機械学習(ML)ベースのネットワーク侵入検知システム(NIDS)のための有望なソリューションである
GNNは、エッジを注入したりノードを挿入することで、攻撃者が基盤となるネットワークグラフトポロジを乱す構造的敵攻撃に対して脆弱なままである。
本稿では,GNN ベースの NIDS を構造攻撃に対して強化するための対人訓練に基づく防御フレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-25T12:06:12Z) - Defending against Model Extraction for GNNs with Model Reprogramming [57.82196268649236]
グラフニューラルネットワーク(GNN)は、ML(Machine-Learning-as-a-Service)における高スループットアプリケーションのバックボーンとして機能する。
それでも、ブラックボックスのデプロイメントは、モデル抽出(ME)攻撃に晒される。
既存の防衛は「ユークリッドバイアス」に苦しむ
セキュリティのためにモデル再プログラミングを再利用するプロアクティブディフェンスフレームワークであるGraphRPを提案する。
論文 参考訳（メタデータ） (2026-08-11T23:20:15Z) - Beyond Homophily: Towards Generalized Graph Reconstruction Attack and Defense [80.28330585803133]
グラフニューラルネットワーク(GNN)は、計算データに広くデプロイされているが、トレーニンググラフの隣接性に関する機密情報やプロプライエタリ情報を漏洩することができる。
本研究は、訓練されたGNNからトレーニング隣接性を再構築するモデル逆転の一形態であるグラフ再構成攻撃(GRA)について研究する。
本稿では, MC-GRA(+)を提案する。これは, GNNにより誘導される表現が対象モデルのそれと一致した代理隣接を最適化することにより, 隣接性を再構築する。
防衛面では, MC-GPB (+) を提案する。
論文 参考訳（メタデータ） (2026-06-06T09:29:27Z) - TwinGate: Stateful Defense against Decompositional Jailbreaks in Untraceable Traffic via Asymmetric Contrastive Learning [60.68349524623048]
分解されたジェイルブレイクは、大きな言語モデルにとって重大な脅威となる。
我々はステートフルなデュアルエンコーダ防御フレームワークであるTwinGateを紹介する。
我々は、8600の異なる悪意のある意図にまたがる360万以上の命令の包括的なデータセットを構築した。
論文 参考訳（メタデータ） (2026-04-30T13:44:01Z) - Stealthy Yet Effective: Distribution-Preserving Backdoor Attacks on Graph Classification [27.872083673005363]
グラフニューラルネットワーク(GNN)は、ノード分類、リンク予測、グラフ分類といったタスク間で強いパフォーマンスを示している。
ノードレベルの攻撃はローカルメッセージパッシングを利用するが、グラフレベルの攻撃は、ステルスを維持しながらグローバルな表現を操作するという難しい課題に直面している。
DPSBAは,アノマ・アウェア・ディスクリミネーターが指導する敵対的訓練を通じて,流通中のトリガを学習するクリーンラベルバックドアフレームワークである。
論文 参考訳（メタデータ） (2025-09-30T10:04:57Z) - Grimm: A Plug-and-Play Perturbation Rectifier for Graph Neural Networks Defending against Poisoning Attacks [53.972077392749185]
近年の研究では、ノード分類タスクに対する敵対的中毒攻撃に対するグラフニューラルネットワーク(GNN)の脆弱性が明らかにされている。
ここでは、最初のプラグアンドプレイディフェンスモデルであるGrimmを紹介します。
論文 参考訳（メタデータ） (2024-12-11T17:17:02Z) - Let Graph be the Go Board: Gradient-free Node Injection Attack for Graph
Neural Networks via Reinforcement Learning [37.4570186471298]
そこで我々は,ブラックボックスノードインジェクション攻撃の問題を,潜在的に誤解を招くサロゲートモデルをトレーニングすることなく検討した。
被害者のモデルを直接クエリすることで、G2A2Cは極めて限られた攻撃予算で非常に悪意のあるノードを注入することを学ぶ。
提案したG2A2Cは,既存の攻撃者よりも優れた性能を示す。
論文 参考訳（メタデータ） (2022-11-19T19:37:22Z) - Discriminator-Free Generative Adversarial Attack [87.71852388383242]
生成的ベースの敵攻撃は、この制限を取り除くことができる。
ASymmetric Saliency-based Auto-Encoder (SSAE) は摂動を生成する。
SSAEが生成した敵の例は、広く使われているモデルを崩壊させるだけでなく、優れた視覚的品質を実現する。
論文 参考訳（メタデータ） (2021-07-20T01:55:21Z) - Graph Backdoor [53.70971502299977]
GTAはグラフニューラルネットワーク(GNN)に対する最初のバックドア攻撃である。
GTAは、トポロジカル構造と記述的特徴の両方を含む特定の部分グラフとしてトリガーを定義する。
トランスダクティブ(ノード分類など)とインダクティブ(グラフ分類など)の両方のタスクに対してインスタンス化することができる。
論文 参考訳（メタデータ） (2020-06-21T19:45:30Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。